Cloud-Softwareauswahl: Worauf der Mittelstand jetzt achten muss
Wer heute eine geschäftskritische Software auswählt, entscheidet längst nicht mehr nur über Funktionen und Leistungsumfang. Bei der Auswahl von Cloud-Software fallen zugleich Vorentscheidungen über Datenhoheit, Compliance und den Einsatz von Künstlicher Intelligenz. Was das für mittelständische Unternehmen bedeutet und welche Prioritäten sie dabei setzen, zeigen aktuelle Marktforschungsdaten aus IT und Recht.
Ein Artikel von Volker Hofmann (RA), otris software AG
Nicht ob, sondern wie Cloud-Software eingesetzt wird, zählt
Im Mittelstand ist die Mischung aus Cloud- und On-Premises-Lösungen der Normalfall. Und der Trend ist eindeutig: Rund zwei Drittel der Unternehmen erwarten in den nächsten zwei Jahren einen weiter steigenden Cloud-Anteil, selbst dort, wo heute noch eigene Infrastruktur dominiert.
Mit dieser Normalität verschiebt sich die eigentliche Diskussion. Sie dreht sich nicht mehr darum, ob Unternehmen überhaupt in die Cloud gehen, sondern wie sie es tun: Entscheidend werden dann Fragen nach Datenstandort, Anbieterwahl, Zugriffskontrolle und regulatorischer Absicherung.
Genau diese Verschiebung dokumentiert die otris-Studie zu Cloud-Governance im deutschen Mittelstand, für die 518 Entscheidungsverantwortliche aus IT und Recht in mittelständischen und großen deutschen Unternehmen befragt wurden.
Ihr zentraler Befund zeigt, dass die Auswahl geschäftskritischer Software zunehmend zur Governance-Entscheidung wird.
Governance schlägt Geschwindigkeit und Kosten
Innovationstempo, Kosteneffizienz und regulatorische Sicherheit lassen sich nicht immer gleichzeitig erfüllen. Wenn es zum Konflikt kommt, bezieht der Mittelstand klar Position: 65 Prozent der Befragten priorisieren im Zweifel Souveränität und Compliance vor Innovationsgeschwindigkeit. Ähnlich eindeutig fällt das Verhältnis zu den Kosten aus, denn ebenso viele geben an, dass Cloud-Entscheidungen stärker unter Governance- als unter Kostengesichtspunkten getroffen werden.
Aus „Cloud First“ wird so zunehmend „Sovereignty First“. Für die Unternehmensführung heißt das: Diese Weichenstellung lässt sich nicht mehr allein an die IT delegieren.
Datenschutz und Datenhoheit: EU-Hosting ist nur der Anfang
Die Hälfte der Befragten nennt Datenschutz als eine der größten Herausforderungen beim Cloud-Einsatz. Mit deutlichem Abstand folgt die Integration in bestehende Systeme. Datenschutz, Compliance und Nachvollziehbarkeit sind damit zu Grundkriterien geworden, die Unternehmen von jedem Anbieter erwarten.
Beim Datenstandort reicht ein Rechenzentrum in der EU vielen nicht mehr aus. Nur knapp ein Viertel hält EU-Hosting eines globalen Anbieters für ausreichend. Die Mehrheit verlangt mehr: einen Anbieter unter EU-Recht oder gleich den Betrieb auf eigenen Servern.
Warum der Datenstandort allein nicht genügt
Ein Cloud-Anbieter, der der US-Gerichtsbarkeit unterliegt, kann unter den gesetzlichen Voraussetzungen zur Herausgabe von Daten verpflichtet werden, die sich unter seiner Kontrolle befinden, etwa auf Grundlage des CLOUD Acts. Das gilt unabhängig davon, ob die Daten in den USA oder in einem europäischen Rechenzentrum liegen. Davon betroffen sind unter Umständen auch europäische Töchter US-amerikanischer Konzerne. Für sensible Daten zählt deshalb neben dem Datenstandort vor allem, wer rechtlich auf sie zugreifen kann. Das verschiebt die Prüfung von der reinen Technik hin zur Anbieter- und Konzernstruktur.
Exit-Möglichkeit als Pflichtkriterium
Ein zweites Kriterium wird häufig unterschätzt: die Möglichkeit, den Anbieter wieder wechseln zu können. Rund drei Viertel der Unternehmen halten diese Exit-Fähigkeit für wichtig, doch nur 58 Prozent prüfen sie im Auswahlprozess auch konsequent. Zwischen Anspruch und Praxis klafft also eine Lücke.
Der EU Data Act adressiert genau diesen Punkt und verpflichtet Anbieter, Hürden beim Wechsel abzubauen. Das größte Lock-in-Risiko sehen Unternehmen in technischen Abhängigkeiten und proprietären Schnittstellen, gefolgt von schwer migrierbaren Datenformaten.
Das neue Anforderungsprofil an geschäftskritische Software
Aus den gewachsenen Ansprüchen entsteht ein verändertes Anforderungsprofil. Fast alle in der Studie abgefragten Kriterien gelten bei den Befragten als wichtig, von der Ausfallsicherheit bis zur Datenhaltung in der EU. Wenn Unternehmen sich aber festlegen müssen, werden drei Faktoren bei der Software-Auswahl besonders häufig als ausschlaggebend genannt:
| Kriterium | Anteil | Einordnung |
|---|---|---|
| Datenschutz | 40 % | Rechtssichere Verarbeitung als Grundvoraussetzung |
| Informationssicherheit | 36 % | Nachweisbarer Schutz geschäftskritischer Daten |
| KI-/Analysefunktionen | 32 % | Governance-konforme Nutzung neuer Technologie |
Noch vor der eigentlichen Bewertung greift ein hartes Ausschlusskriterium: Fast drei Viertel der Unternehmen verlangen klare Compliance- und Audit-Funktionen. Lösungen ohne diese Funktionen kommen kaum in die engere Wahl.
Auf der Sicherheitsseite setzen für betroffene Unternehmen verschärfte gesetzliche Pflichten den Maßstab, darunter die aus NIS2. Ob eine Lösung die Umsetzung dieser Pflichten unterstützt, hängt nicht allein von Zertifikaten ab, sondern auch davon, wie sie sich in das eigene Sicherheits- und Notfallmanagement integrieren lässt.
Wie Unternehmen solche rechtlichen Rahmenbedingungen in ihre Prozesse übersetzen, entscheidet zunehmend über die Tragfähigkeit der gesamten Softwarelandschaft.
KI-Governance beginnt bei der Softwareauswahl
Eine ähnliche Bewegung zeigt sich bei der Künstlichen Intelligenz. Drei Viertel der Unternehmen nutzen KI bereits oder planen den Einsatz. Entscheidend ist, wie KI ins Unternehmen gelangt: Gut ein Drittel der Unternehmen nutzt oder plant KI vor allem als Funktion bestehender Softwarelösungen.
Damit entscheidet der gewählte Software-Anbieter mit, wie Daten verarbeitet werden, wo sie gespeichert werden und welche Modelle zum Einsatz kommen. Die Wahl der Cloud-Software legt also den Rahmen für die KI-Governance gleich mit fest. Das erklärt auch, warum Unternehmen so hohe Anforderungen an Transparenz und Datenverarbeitung in der EU stellen. Die KI-Frage rückt damit auf die Ebene der Geschäftsleitung.
Ähnlich wie Cloud-Dienste werden auch KI-Tools oft schneller in Fachabteilungen eingeführt, als zentrale Stellen davon erfahren. Damit der gezielte KI-Einsatz gelingt, braucht es praxistaugliche Regeln für den Beschaffungsprozess und eine zentrale Steuerung, um rechtliche Anforderungen im Blick zu behalten und Parallelbeschaffungen zu vermeiden.
Fazit: Die Cloud-Softwareauswahl als strategische Weichenstellung
Cloud-Lösungen haben sich im Mittelstand bereits etabliert, und die Mehrheit der Befragten erwartet einen weiter steigenden Cloud-Anteil. Auch KI wird in vielen Unternehmen genutzt oder ihr Einsatz geplant. Die Anforderungen an Cloud-Software sind dabei klar umrissen: Für die Mehrheit der Befragten hat Governance Vorrang vor Innovationstempo und Kosten. Datenhoheit soll über reines EU-Hosting hinausgehen, und Compliance und Informationssicherheit müssen als Grundkriterien jeder Lösung erfüllt sein.
Wer also Datenhoheit, Compliance und KI früh mitdenkt und IT sowie alle relevanten Fachbereiche gemeinsam einbindet, behandelt die Softwareauswahl als das, was sie geworden ist: eine strategische Weichenstellung, lange bevor der erste Vertrag unterschrieben ist.
Über den Autor
Volker Hofmann ist Rechtsanwalt und Fachanwalt für Arbeitsrecht. Bei der otris software AG verantwortet er die Bereiche Recht und Unternehmensentwicklung. Zuvor leitete er mehr als 15 Jahre die Rechtsabteilung einer Unternehmensgruppe im gehobenen Mittelstand.
In diesem Beitrag ordnet er die Ergebnisse der otris-Studie zu Cloud-Governance und Datenhoheit ein und erläutert, was sie für die Auswahl geschäftskritischer Software und die Verantwortung der Unternehmensführung bedeuten.
Bilderquelle: © otris software AG – Alle Rechte vorbehalten
Hinweis: Dieser Artikel ersetzt keine Beratung durch einen Anwalt und stellt auch keine solche dar. Er dient der allgemeinen Information.
